智能电网安全防护系统的制作方法
【专利摘要】一种智能电网安全防护系统，包括两个以上的前端安全模块、分别与所述前端安全模块对应连接的两个以上的前端通信服务模块、安全监控通信模块、安全监控事件处理模块、安全监控平台模块。其通过在不同的Web服务器上分别嵌入设置有前端安全模块，并设置有相应的前端通信服务模块来实现该前端安全模块与其他设备之间的通信，通过该前端安全模块截取发送到Web应用服务器的HTTP请求，根据配置的安全规则对该HTTP请求进行匹配，根据匹配结果以及相应的安全策略执行后续处理过程，不仅可以防御外部网络，而且能够防御企业内部的攻击行为，提高了安全性。另一方面，该防护系统是分布式的防护系统，可以实现智能电网整体防护的安全性。
【专利说明】智能电网安全防护系统
【技术领域】
[0001]本发明涉及智能电网安全【技术领域】，特别涉及一种智能电网安全防护系统。
【背景技术】
[0002]随着智能电网技术的发展，如何确保安全性成为智能电网技术中的一项重要工作内容。目前的智能电网安全技术，其部署一般是在服务器前端、互联网访问入口处部署Web防火墙，Web防火墙通过配置固定的安全规则库、特征库，对访问服务器的行为进行分析，对非授权的地址访问行为、入侵行为等进行阻断和告警。由于Web防火墙主要是对Web特有入侵方式的防护，而且是部署在Web服务器的前端，即外部网络到Web服务器之间的链路上，而企业内部的访问路由无需经过web防火墙，因此，web防火墙只能防御来自企业外部网络，即互联网的非法访问和攻击行为等，但不能对来自内网的攻击行为进行防护，无法全面保证服务器的安全性。而且，目前的Web防火墙都是被动式的通用性防护，每个系统都需要单独的设备来进行防护，成本很高。
【发明内容】
[0003]基于此，针对上述现有技术中存在的问题，本发明的目的在于提供一种智能电网安全防护系统，其不仅能对防御外部网络，而且能够对来自内网的攻击行为进行防护。
[0004]为达到上述目的，本发明实施例采用以下技术方案:
[0005]一种智能电网安全防护系统，包括:
[0006]两个以上的前端安全模块，分别嵌入设置在各Web服务器上，用于截取发送到该Web服务器的HTTP请求，根据配置的安全规则对该HTTP请求进行匹配，根据匹配结果生成安全事件，根据安全策略判断是否需要对该安全事件进行即时处理，若需要即时处理，则根据匹配的安全规则对应的处理方式对所述HTTP请求进行处理，若不需要即时处理，则将该安全事件向前端通信服务模块发送，并根据前端通信服务模块返回的安全控制指令对所述HTTP请求进行处理；
[0007]分别与所述前端安全模块对应连接的两个以上的前端通信服务模块，分别设置在各Web服务器上的，用于接收对应的前端安全模块发送的所述安全事件，将该安全事件向安全监控通信模块发送，并将安全监控通信模块返回的安全控制指令向对应的前端安全模块发送；
[0008]安全监控通信模块，用于接收各前端通信服务模块发送的安全事件，并将该安全事件向安全监控事件处理模块发送，并将安全监控事件处理模块返回的安全控制指令向对应的前端通信服务模块发送；
[0009]安全监控事件处理模块，用于接收安全监控通信模块发送的安全事件，根据配置的安全规则对所述安全事件进行分析处理，将分析处理结果过滤后发送给安全监控平台模块进行显示，并根据分析处理结果生成安全控制指令，并将该安全控制指令向安全监控通信模块发送；[0010]安全监控平台模块，用于对安全监控模块发送的过滤后的分析处理结果进行显
/Jn ο
[0011]根据上述本发明的方案，其是通过在不同的Web服务器上分别嵌入设置有前端安全模块，并设置有相应的前端通信服务模块来实现该前端安全模块与其他设备之间的通信，通过该前端安全模块截取发送到Web应用服务器的HTTP请求，根据配置的安全规则对该HTTP请求进行匹配，根据匹配结果以及相应的安全策略执行后续处理过程，由于是在Web服务器上设置嵌入的前端安全模块对发送到Web服务器的HTTP请求进行截取，并在此基础上进行分析判定，而无论是外网还是内网的HTTP请求，都会发送到Web服务器进行处理，从而不仅可以防御外部网络，而且能够防御企业内部的攻击行为，提高了安全性。另一方面，该防护系统是分布式的防护系统，可以实现智能电网整体防护的安全性。
【专利附图】
【附图说明】
[0012]图1是本发明的智能电网安全防护系统实施例的结构示意图；
[0013]图2是基于本发明的智能电网安全防护系统实施例的系统架构示意图；
[0014]图3是本发明的智能电网安全防护系统实施例的层次结构示意图。
【具体实施方式】
[0015]以下结合其中的较佳实施方式对本发明方案进行详细阐述。
[0016]图1中示出了本发明的智能电网安全防护系统实施例一的结构示意图。如图1所示，本实施例一中的系统包括:
[0017]两个以上的前端安全模块101，分别嵌入设置在各Web服务器上，用于截取发送到该Web服务器的HTTP请求，根据配置的安全规则对该HTTP请求进行匹配，根据匹配结果生成安全事件，根据安全策略判断是否需要对该安全事件进行即时处理，若需要即时处理，则根据匹配的安全规则对应的处理方式对该HTTP请求进行处理，若不需要即时处理，则将该安全事件向前端通信服务模块102发送，并根据前端通信服务模块102返回的安全控制指令对该HTTP请求进行处理；
[0018]分别与前端安全模块101对应连接的两个以上的前端通信服务模块102，分别设置在各Web服务器上的，用于接收对应的前端安全模块101发送的所述安全事件，将该安全事件向安全监控通信模块103发送，并将安全监控通信模块103返回的安全控制指令向对应的前端安全模块101发送；
[0019]安全监控通信模块103，用于接收各前端通信服务模块102发送的安全事件，并将该安全事件向安全监控事件处理模块104发送，并将安全监控事件处理模块104返回的安全控制指令向对应的前端通信服务模块103发送；
[0020]安全监控事件处理模块104，用于接收安全监控通信模块103发送的安全事件，根据配置的安全规则对所述安全事件进行分析处理，将分析处理结果过滤后发送给安全监控平台模块105进行显示，并根据分析处理结果生成安全控制指令，并将该安全控制指令向安全监控通信模块104发送；
[0021]安全监控平台模块105，用于对安全监控模块104发送的过滤后的分析处理结果进行显示。[0022]根据上述本发明的方案，其是通过在不同的Web服务器上分别嵌入设置有前端安全模块，并设置有相应的前端通信服务模块来实现该前端安全模块与其他设备之间的通信，通过该前端安全模块截取发送到Web应用服务器的HTTP请求，根据配置的安全规则对该HTTP请求进行匹配，根据匹配结果以及相应的安全策略执行后续处理过程，由于是在Web服务器上设置嵌入的前端安全模块对发送到Web服务器的HTTP请求进行截取，并在此基础上进行分析判定，而无论是外网还是内网的HTTP请求，都会发送到Web服务器进行处理，从而不仅可以防御外部网络，而且能够防御企业内部的攻击行为，提高了安全性。另一方面，该防护系统是分布式的防护系统，可以实现智能电网整体防护的安全性。
[0023]图2中示出了基于本发明的智能电网安全防护系统的系统架构示意图，需要说明的是，图2中未示出前端通信服务模块、安全监控通信模块以及安全监控事件处理模块。如图2所示，其设置有多个前端安全模块，分别嵌入设置在Web服务器上，可以对发送给Web服务器的应用系统、Web服务器的各个信息子系统的请求进行拦截和分析，确保了智能电网系统的安全性。其中，图2中所示的“外来访问和威胁”，可能是来自外网的，也可能是来自内网的请求,本发明方案中对此不做限定。
[0024]其中，上述前端安全模块101在截取HTTP请求时，可以通过Apache (ApacheHTTPServer,简称 Apache)或者 ISAPI (Internet Server Application ProgrammingInterface)对发送到Web服务器的HTTP请求进行截取。
[0025]如图1所示，在该实施例一中，本发明的智能电网安全防护系统还可以包括有安全知识库106，该安全知识库106中包括有配置的安全规则，上述安全监控事件处理模块104通过将上述安全事件与安全知识库中的配置的安全规则进行匹配来进行分析处理。
[0026]在其中一个具体示例中，上述安全监控平台模块105，还用于生成安全规则以及对应的安全策略，并向安全监控事件处理模块104发送安全规则配置信息，该安全规则配置信息中包括有该安全规则以及对应的安全策略以及相应的前端安全模块101的识别信息；
[0027]上述安全监控事件处理模块104，还用于接收所述安全规则配置信息，根据该安全规则配置信息将该安全规则以及对应的安全策略发送给安全知识库106以及通过安全监控通信模块103，前端通信服务模块102发送给与所述识别信息对应的前端安全模块101 ；
[0028]上述前端安全模块101，还用于接收并存储所述安全规则以及对应的安全策略。
[0029]在其中一个具体示例中，上述安全监控平台模块105，还用于接收用户输入的安全指令，再将该安全指令向安全监控事件处理模块104发送，安全监控事件处理模块104接收后，将该安全指令通过安全监控通信模块103、前端通信服务模块102向前端安全模块101发送，前端安全模块101接收到该安全指令后，执行该安全指令。
[0030]为了能够更好地对本发明的智能电网安全防护系统进行说明，图2以层次结构的表达方式为例，示出了本发明智能电网安全防护系统实施例的层次结构示意图。
[0031]如图2所示，在该层次结构示意图中，根据上述各模块功能的不同，分成了 5层，上述各模块分别为一层，其中:
[0032]安全监控平台模块，其是后台管理界面，实现不同身份角色的不同管理功能，包括管理规则库，规则库中的各安全规则分别针对不同的子系统；
[0033]安全监控事件处理模块，其用以处理各前端安全模块汇报上来的安全事件，并按照配置的安全规则进行分析处理，将分析处理结果过滤后呈现给安全监控平台模块，并根据分析处理结果生成安全控制指令，将该安全控制指令通过安全监控通信模块、前端通信服务模块发送给前端安全模块；
[0034]安全监控通信模块，用于实现与各前端通信服务模块之间的通信；
[0035]前端通信服务模块，用于实现前端安全模块与安全监控平台的通信，并用以传输安全事件、接受安全指令，传输安全控制知识库；
[0036]前端安全模块，负责拦截外来访问的HTTP请求，拦截之后形成安全事件后通过前端通信服务模块、安全监控服务模块汇报给安全监控事件处理模块，并接受安全监控事件处理模块返回的安全控制指令，根据该安全控制指令对所拦截的HTTP请求进行处理。
[0037]如图1、图2所示，在本发明方案中，采用了两个专门的通信模块(前端通信服务模块、安全监控服务模块)来执行通信过程，处理业务交换。
[0038]如图1所示的本发明的智能电网安全防护系统，其中前端安全模块101和前端通信服务模块102可以分布在多个受监控的信息系统的Web服务器中，从而形成对多个信息系统的安全监控。
[0039]以下结合其中的具体实施例对上述各模块分别进行详细说明。
[0040]上述安全监控平台模块105，其主要执行下述相关功能:
[0041 ] 建立安全知识库，对安全规则建立一个广泛性的覆盖性的立体知识体系；
[0042]建立对需要保护的信息系统基本信息的采集，通过安全管理员的自我配置，掌握信息系统的安全属性，利于筛选适配安全规则；
[0043]建立一套安全规则适配信息系统的审批流程，可以通过非阻塞消息队列的方式与前端安全模块进行通信，提高通信效率；
[0044]建立一套安全监控平台与信息系统之间高效通信规范，该通信规范可以是自定义的通信协议，该通信协议可以针对通信内容，例如字段选取、数据压缩等进行优化，有效率的实现对于规则下发、告警事件上报；
[0045]汇总告警事件，让安全知识库建立有实际应用基础，实现安全主动监控。
[0046]而上述前端通信服务模块102、安全监控服务模块103构成了主动安全防护的通信层，其主要实现对规则下发、告警事件的通信承载。在本发明方案中，可以对通信事件的触发方式进行定义，通过底层socket高效实现安全监控平台模块至前端安全模块之间的通信，一旦有消息包到达，就以事件触发的方式促使通信的另一方进行通信接收，从而在通信模式上能够适应更大的吞吐和传输性能，实现高效通信。该主动安全防护的通信层，实现了基于系统守护进程的服务进程，在其中一个具体实施例中，可以优选以完成端口的方式实现规则的下发及安全事件的告警记录。
[0047]其中，在上述前端安全模块101中，可以设置有专门的通信接口，专门负责实现与安全监控平台模块的通信，进行双向传递数据。此外，前端安全模块101在拦截HTTP请求时，可以通过Apache或者ISAPI的方式来对HTTP请求进行拦截，实现Web服务器自身的安全代理组建。此外，在该前端安全模块101中，可以定义安全规则匹配自动机，通过该安全规则匹配自动机按照安全监控平台模块105发布的安全规则或内置的安全规则进行自动匹配，并执行阻断，将告警事件进行上报。其中，该安全规则匹配自动机，可以根据安全规则的三元组，按照特征进行自动匹配，一旦匹配成功，就自动进行设定的安全行为，例如阻断HTTP请求，将HTTP安全发送等等。匹配输入内容的获取、匹配过程、匹配过程后的安全操作，都可以通过自动化的方式来实现。这种将前端安全模块101嵌入Web服务器的方式，能够高效、快速地判断是否有安全攻击存在。安全事件的上报和安全规则的下发可以与安全代理进程以本机IP http方式进行通信，从而可以有效减轻Web服务器在触发安全规则告警事件和下发规则时候的同步带来的对Web服务器自身的阻塞问题，异步且高效。
[0048]以下结合其中一个具体的安全防护示例来对本发明方案进行举例说明。
[0049]假设我们建立一个针对sql注入的规则，定义:凡是发现在动态页面的请求输入字符串中发现了 “alter\dele\inSert\。。。”等关键字就认为可能存在一个危险输入。对此，可以设定一个相应的安全规则，指定需要在http请求阶段能获取查询字符串的时候获取这个查询字符串的值，模式匹配扫描具体的查询字符串值，如果匹配上，就执行规则指定的“禁止请求”操作，即立即终止后续的任何http处理操作，立即返回一个配置的http返回响应码(如http405)来禁止进一步操作损害服务器安全。这个安全规则通过编码后下发到指定的安全前端代理，通过无并发冲突的协议动态地将规则注入嵌入式组件的执行逻辑库中，从而开始截获请求进行自动分析。一旦有恶意攻击，就会在某个估计的请求中被自动匹配逻辑匹配到，从而返回一个405的响应码，实现对Web服务器的保护。
[0050]根据如上所述的本发明的智能电网安全防护系统，其可以达到如下有益效果:
[0051]对HTTP请求的拦截以及安全逻辑的分析嵌入部署在Web服务器的内部，不仅能够防御外部威胁，而且能够对来自企业内部网络的攻击进行防御；
[0052]通过设置有多个前端安全模块，且分别嵌入部署在不同的Web服务器，通过规则库和划分子系统的方式进行管理，从而使得安全规则的配置更加灵活，更加有针对性，而且，不同的子系统实际上对应智能电网下不同的应用系统，甚至是应用系统中的一个模块，从而实现了精细化的安全规则设置和配置；
[0053]通过划分子系统和管理后台的方式，实现了安全防护系统的多层次管理，使得系统可以很容易分布式部署在不同的业务应用系统中，支持大规模部署环境，满足智能电网环境的要求；
[0054]通过软件嵌入的方式，使Web服务器具备足够的安全防护能力，每一个需要防护的子系统，只需要在Web服务器加载相应的模块或者插件即可实现轻量级、精细化的安全防护，相比Web防火墙可以大大降低建设、部署、升级成本。
[0055]以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。
【权利要求】
1.一种智能电网安全防护系统,其特征在于,包括: 两个以上的前端安全模块，分别嵌入设置在各Web服务器上，用于截取发送到该Web服务器的HTTP请求，根据配置的安全规则对该HTTP请求进行匹配，根据匹配结果生成安全事件，根据安全策略判断是否需要对该安全事件进行即时处理，若需要即时处理，则根据匹配的安全规则对应的处理方式对所述HTTP请求进行处理，若不需要即时处理，则将该安全事件向前端通信服务模块发送，并根据前端通信服务模块返回的安全控制指令对所述HTTP请求进行处理； 分别与所述前端安全模块对应连接的两个以上的前端通信服务模块，分别设置在各Web服务器上的，用于接收对应的前端安全模块发送的所述安全事件，将该安全事件向安全监控通信模块发送，并将安全监控通信模块返回的安全控制指令向对应的前端安全模块发送; 安全监控通信模块，用于接收各前端通信服务模块发送的安全事件，并将该安全事件向安全监控事件处理模块发送，并将安全监控事件处理模块返回的安全控制指令向对应的前端通信服务模块发送； 安全监控事件处理模块，用于接收安全监控通信模块发送的安全事件，根据配置的安全规则对所述安全事件进行分析处理，将分析处理结果过滤后发送给安全监控平台模块进行显示，并根据分析处理结果生成安全控制指令，并将该安全控制指令向安全监控通信模块发送； 安全监控平台模块，用于对安全监控模块发送的过滤后的分析处理结果进行显示。
2.根据权利要求1所述的智能电网安全防护系统，其特征在于: 所述安全监控平台模块，还用于接收用户输入的安全指令，并将该安全指令向所述安全监控事件处理模块发送； 所述安全监控事件处理模块，还用于接收所述安全监控平台模块发送的安全指令，并将所述安全指令通过所述安全监控通信模块、所述前端通信服务模块向所述前端安全模块发送； 所述前端安全模块，还用于接收并执行所述安全指令。
3.根据权利要求1所述的智能电网安全防护系统，其特征在于: 还包括安全知识库，所述安全知识库中包括配置的安全规则； 所述安全监控事件处理模块通过将所述安全事件与安全知识库中的配置的安全规则进行匹配来进行分析处理。
4.根据权利要求3所述的智能电网安全防护系统，其特征在于: 所述安全监控平台模块，还用于生成安全规则以及对应的安全策略，并向安全监控事件处理模块发送安全规则配置信息，该安全规则配置信息中包括有该安全规则以及对应的安全策略以及相应的前端安全模块的识别信息； 所述安全监控事件处理模块，还用于接收所述安全规则配置信息，根据该安全规则配置信息将该安全规则以及对应的安全策略发送给安全知识库以及通过安全监控通信模块，前端通信服务模块发送给与所述识别信息对应的前端安全模块； 所述前端安全模块，还用于接收并存储所述安全规则以及对应的安全策略。
5.根据权利要求1所述的智能电网安全防护系统，其特征在于，所述前端安全模块通过Apache或者ISAPI截取发送到Web服务器的HTTP请求。
6.根据权利要求1至4任意一项所述的智能电网安全防护系统，其特征在于，所述前端通信服务模块、所述安全监控通信模块、所述安全监控事件处理模块通过事件触发的方式进行通信。
7.根据权利要求1至4任意一项所述的智能电网安全防护系统，其特征在于，所述生成安全事件的方式包括:按照配置的安全规则对所述HTTP请求进行匹配后，按照设定格式生成log记 录。
【文档编号】H04L29/08GK103944896SQ201410153899
【公开日】2014年7月23日 申请日期:2014年4月16日 优先权日:2014年4月16日
【发明者】刘晔, 彭泽武, 陈富汉 申请人:广东电网公司信息中心, 中国能源建设集团广东省电力设计研究院